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Abstract of DE1 00321 79 

The invention relates to a vehicle control system 
consisting of several signal processing levels 
(E2, A, P, R, K, F) and actuators (26, 28, 30), 
particularly for a brake, steering system, engine 
and gear box, used to convert control signals, in 
addition to a method for controlling a vehicle. 
According to the invention, the following levels 
are provided: an input level (E1) for continuous 
information or an input level (E2) for discrete 
information; an automation level (A) for producing 
set point signals; a predictive level (P) and/or a 
reactive level (R) for correcting the set point 
signals; a co-ordination level (K) for converting 
the set point signals into control signals and an 
execution level (F) with actuators. Said actuators 
are connected to each other and are connected 
to the co-ordination level by means of a fault- 
tolerant redundant and bidirectional data bus 
(24). Measures are taken for redundant signal 
processing and data is transmitted in a fault- 
tolerant, redundant bidirectional manner. 
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Die folgenden Angaben sind den vom Anmelder eingereichten Unterlagen entnommen 

Prufungsantrag gem. § 44 PatG ist gestellt 

® Steuerungssystem fur ein Fahrzeug und Verfahren zur Steuerung eines Fahrzeugs 

® Die Erfindung betrifft ein Steuerungssystem fur ein 
Fahrzeug mit mehreren Signalverarbeitungsebenen und 
Aktuatoren, insbesondere fur Bremse, Lenkung, Motor 
und Getriebe, zur Umsetzung von Ansteuersignalen so- 
wie ein Verfahren zur Steuerung eines Fahrzeugs. 
Erfindungsgemafc sind dazu eine Eingabeebene fur konti- 
nuierliche Vorgaben oder eine Eingabeebene fur diskrete 
Vorgaben sowie eine Automatisierungsebene zum Erzeu- 
gen von Sollwertsignalen, eine prediktive Ebene und/ 
oder eine reaktive Ebene zum Korrigieren der Sollwertsi- 
gnale, eine Koordinationsebene zum Umsetzen der Soli- 
wertsignale in Ansteuersignale und eine Ausfuhrungs- 
ebene mit den Aktuatoren vorgesehen. Die Aktuatoren 
sind untereinander und mit der Koordinationsebene 
durch einen fehlertoleranten, redundanten und bidirektio- 
nalen Datenbus verbunden. Es sind MaGnahmen zur red- 
undanten Signalverarbeitung getroffen und die Daten- 
ubertragung erfolgt fehlertolerant, redundant und bidi- 
rektional. 

Verwendung z. B. fur Automobile. 
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Beschreibung 



[0001] Die Erfindung betrifft ein S teuerungssy stem fur ein 
Fahrzeug mit mehreren Signalverarbeitungsebenen und Ak- 
tuatoren, insbesondere fur Bremse, Lenkung, Motor und 
Getriebe, zur Umsetzung von Ansteuersignalen sowie ein 
Verfahren zur Steuerung eines Fahrzeugs. 
[0002] GattungsgemaBe Steuerungssysteme fur Fahr- 
zeuge werden auch als Drive-by- Wire-Systeme oder x-by- 
Wire-Systeme bezeichnet. Bei sole hen Systemen werden 
Lenkung, Bremse und Antrieb eines Fahrzeugs elektronisch 
gesteuert, ohne dass zwischen Lenkrad und den gelenkten 
Radern eine durchgehende mechanische Verbindung besteht 
oder zwischen Bremspedal und der Betriebsbremse fur die 



signale anhand von aktuellen Fahrzustanden, eine Koordi- 
nationsebene mit vierten Signalverarbeitungsmodulen zum 
Umsetzen der Sollwertsignale in Ansteuersignale und eine 
Ausfuhrungsebene mit den Aktuatoren zum Umsetzen der 

5 Ansteuersignale, wobei die Aktuatoren durch einen fehler- 
toleranten, redundanten und bidirektionalen Datenbus ver- 
bunden sind, die ersten, zweiten, dritten und/oder vierten Si- 
gnalverarbeitungsmodule zur redundanten Signalverarbei- 
tung ausgelegt sind und zwischen zwei aufeinanderfolgen- 

io den Signalverarbeitungsebenen Einrichtungen zur fehlerto- 
leranten, redundanten und bidirektionalen Datenubertra- 
gung vorgesehen sind. 



[0008] Durch diese Merkmale wird ein Steuerungssystem 
mit einfachem, modularem Aufbau geschaffen, bei dem ein- 

Rader eine durchgehende mechanische oder hydraulische 15 zelne Signalverarbeitungsebenen, bei spiels weise die predik- 

Verbindung besteht. ti V e Ebene, weggelassen werden konnen, wenn ihre Funk- 

[0003] Aus der OfFenlegungsschrift DE 41 11 023 A 1 ist tionalitat nicht benotigt wird, ohne dass der grundlegende 

ein Steuersystem fur ein Fahrzeug bekannt, das in Hierar- Aufbau des Steuerungssystems aufgegeben werden muB. 

chieebenen aufgebaut ist, die bei der Signalverarbeitung in Damit wird im Vergleich zu bisherigen Steuerungssystemen 

vorgegebener Reihenfolge durchlaufen werden. Die Signal- 20 ein auBerst flexibles Steuerungssystem geschaffen. Das Vor- 

verarbeitung fur die Bereiche Lenkung, Radantrieb und sehen einer Koordinationsebene zum Umsetzen der Soll- 

Fahrwerk erfolgt getrennt, wodurch sich der Signal verarbei- wertsignaie in Ansteuersignale schafft eine definierte 

tungspfad in den unteren Hierarchieebenen verastelt und Schnittstelle, mit der die Ebenen, in denen die ursprungli- 

sich ein komplexer Aufbau des Steuerungssystems ergibt. chen Vorgaben bearbeitet werden, von den Ebenen entkop- 

Ein Sicherheitskonzept, das den moglichen Ausfall von 25 pelt werden, in denen die Ausfuhrung der bearbeiteten Vor- 



Komponenten beriicksichtigt, ist nicht vorgesehen, 
[0004] In dem in der Patentschrift DE40 39 005 C2 be- 
schriebenen Steuerungssystem fur ein Fahrzeug ist zur Si* 
cherung der Betriebsfahigkeit des Systems vorgesehen, dass 
neben einer Verbindung eines Bedienelements mit einer 
zentralen Steuereinheit und einem Aktuator mit einer Sub- 
steuerung uber einen Datenbus eine zusatzliche, direkte Ver- 
bindung zwischen dem Bedienelement und dem Aktuator 
mit der Substeuerung vorgesehen ist. Damit liegen zwei un- 
terschiedlich aufgebaute Verkabelungen des Systems 
gleichzeitig vor. 

[0005] Aus der europaischen Offenlegungsschrift 
EP0 754 611A1 ist ein Brems- und Lenksystem fur ein 
Fahrzeug bekannt, bei dem versucht wird, die Sicherstellung 



gaben erfolgt. Eine solche definierte Schnittstelle verein- 
facht den Aufbau und erleichtert Anderungen und Erweite- 
rungen des Steuerungssystems betrachtlich. Dariiber hinaus 
wird durch redundante Signalverarbeitung und fehlertole- 
30 rante und redundante Datenubertragung eine hohe Ausfallsi- 
cherheit des Steuerungssystems erreicht. Die bidirektionale 
Datenverarbeitung zwischen aufeinanderfolgenden Signal- 
verarbeitungsebenen, also auch zwischen den Aktuatoren 
und der Koordinationsebene, ermoglicht eine Ubertragung 
35 von Sollwertsignalen und eine Ruckfuhrung von Istwert- 
und Diagnosewertsignalen. 

[0009] In Weiterbildung der Erfindung ist die reaktive 
Ebene zwischen der Koordinationsebene und der Ausfuh- 
rungsebene angeordnet. Damit werden die Ansteuersignale 



der Betriebsfahigkeit bei Ausfall von Komponenten mit 40 fur die Aktuatoren anhand von aktuellen Fahrzustanden kor- 

Mitteln der Fehlertoleranz und Redundanz zu erreichen. Als rigiert. Dies kann in bezug auf eine schnelle Reaktion auf 

Fehlertoleranz wird die Fahigkeit eines Systems bezeichnet, kritische Fahrzustande von Vorteil sein, da unmittelbar die 

auch mit einer begrenzten Zahl fehlerhafter Subsysteme Ansteuersignale fur die Aktuatoren korrigiert werden. 

seine spezifische Funktion zu erfullen. Unter Redundanz [0010] In vorteimafter Weise ist wenigstens einem Aktua- 

wird das Vorhandensein von mehr als fur die Ausfuhrung 45 tor ein reaktives Signalverarbeitungsmodul zur Reaktion auf 



der vorgesehenen Aufgaben an sich notwendigen Mitteln 
verstanden. 

[0006] Der Erfindung liegt als technisches Problem die 
Schaffung eines sicheren und zuverlassigen Steuerungssy- 
stems mit Vergleichsweise einfachem Aufbau und die Be- 
reitstellung eines zuverlassigen und sicheren Verfahren s zur 
Steuerung eines Fahrzeugs zugrunde. 

[0007] ErfindungsgemaB ist hierzu ein Steuerungssystem 
fur ein Fahrzeug mit mehreren Signalverarbeitungsebenen 



kritische, aktuelle Fahrzustande unmittelbar zugeordnet. 
Auch diese Ausbildung der Erfindung ist im Hinblick auf 
eine schnelle Reaktion auf kritische Fahrzustande vorteil- 
haft. So kann beispielsweise ein Antiblockiersystem unmit- 
50 telbar der Radbremse zugeordnet sein. 

[0011] Als weiterbildende MaBnahme ist vorgesehen, dass 
Einrichtungen zur Energieversorgung fur alle Signalverar- 
beitungsebenen redundant ausgefuhrt sind. Diese MaB- 
nahme tragt zu einer erheblich gesteigerten Ausfallsicher- 



und Aktuatoren, insbesondere fur Bremse, Lenkung, Motor 55 heit des Steuerungssystems bei. 

und Getriebe, zur Umsetzung von Ansteuersignalen vorge- [0012] Es ist ebenfalls vorteilhaft, dass die Einrichtungen 

sehen, bei dem folgende Signalverarbeitungsebenen vorge- zur bidirektionalen Datenubertragung als Lichtwellenleiter 

sehen sind: Eine Eingabeebene mit Einrichtungen zum Ein- ausgefuhrt sind. Durch Lichtwellenleiter kann eine schnelle 

geben kontinuierlicher Vorgaben eines Fahrers und zum und von auBeren Storeinfliissen vergleichsweise unabhan- 

Umsetzen der Vorgaben in Sollwertsignale oder eine Einga- 60 gige Datenubertragung erreicht werden. 

beebene mit Einrichtungen zum Eingeben diskreter Vorga- [0013] In Weiterbildung der Erfindung ist vorgesehen, 

ben eines Fahrsystems sowie eine Automatisierungsebene dass in der Automatisierungsebene, der prediktiven Ebene', 

mit ersten Signalverarbeitungsmodulen zum Umsetzen der der reaktiven Ebene und der Koordinationsebene jeweils 

Vorgaben der Eingabeebene in Sollwertsignale, eine predik- wenigstens zwei physikalisch getrennte erste, zweite, dritte 

tive Ebene mit zweiten Signalverarbeitungsmodulen zum 65 bzw. vierte Signal verarbeitungsmodule zur redundanten Si- 

Korrigieren der Sollwertsignale anhand einer Voraussage gnalverarbeitung vorgesehen sind. Eine solche Hardware- 

von Fahrzustanden und/oder eine reaktive Ebene mit dritten Redundanz verbessert die Zuverlassigkeit des Steuersy- 

Signalverarbeitungsmodulen zum Korrigieren der Sollwert- stems. 
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[0014] Als weiterbildende MaBnahme ist vorgesehen, 
dass in den ersten, zweiten, dritten bzw. vierten Signal verar- 
beitungsmodulen vorgesehene Software redundant ausge- 
fuhrt ist. Hierdurch wird die Zuverlassigkeit des Steue- 
rungssysterns weiter verbessert. 

[0015] Gemafi der Erfindung wird auch ein Verfahren zur 
Steuerung eines Fahrzeugs, insbesondere von dessen 
Bremse, Lenkung, Motor und Getriebe vorgeschlagen, das 
folgende Schritte aufweist: Eingeben kontinuierlicher Vor- 
gaben eines Fahrers oder diskreter Vorgaben eines Fahrsy- 
stems und Umsetzen der Vorgaben in Sollwertsignale, Kor- 
rigieren der Sollwertsignale anhand einer Voraussage von 
Fahrzustanden und/oder Korrigieren der Sollwertsignale an- 
hand von aktuellen Fahrzustanden, Umsetzen der Sollwert- 
signale in Ansteuersignale und Ausfuhren der Ansteuersi- 
gnale durch Aktuatoren, wobei die Ansteuersignale zu den 
Aktuatoren sowie Istwertsignale und Diagnosesignale von 
den Aktuatoren in fehlertoleranter und redundanter Weise 
iiber einen Datenbus iibertragen werden, das Umsetzen der 
Vorgaben in Sollwertsignale, das Korrigieren det Sollwertsi- 
gnale und das Umsetzen der Sollwertsignale in Ansteuersi- 
gnale in redundanter Weise erfolgt und Sollwertsignale, Ist- 
wertsignale sowie Diagnosesignale auf gemeinsamen Da- 
tenleitungen fehlertolerant, redundant und bidirektional 
iibertragen werden. 

[0016] Weitere Merkmale und Vorteile der Erfindung er- 
geben sich aus der nachfolgenden Beschreibung im Zusam- 
menhang mit den beigefiigten Zeichnungen, die folgendes 
zeigen: 

[0017] Fig. 1 eine schematische Darstellung eines erfin- 
dungsgemafien Steuerungs systems gemafi einer ersten Aus- 
fiihrungsform und 

[0018] Fig. 2 eine schematische Darstellung eines erfin- 
dungsgemafien Steuerungssy stems gemafi einer zweiten 
Ausfuhrungsform der Erfindung. 

[0019] In der schematischen Darstellung des erfindungs- 
gemafien Steuerungssystems fur ein Fahrzeug in der Fig. 1 
sind mehrere Signalverarbeitungsebenen zu erkennen. In ei- 
ner Eingabeebene E gibt ein Fahrer kontinuierliche \torga- 
ben fur die Langsbewegung vor, die in der Einrichtung 10 in 
ein Sollwertsignal umgesetzt werden. Indem der Fahrer Be- 
dienelemente, beispiels weise Sidestick oder Fahrpedal, 
Bremspedal und Lenkrad betatigt oder auch nur in einer be- 
stimmten Stellung halt, gibt er iiber der Zeit gesehen konti- 
nuierlich vor, wie die Langsbewegung des Fahrzeugs erfol- 
gen soli. Im Unterschied zur kontinuierlkhen Vorgabe eines 
Fahrers erfolgt bei Verwendung eines autonomen Fahrsy- 
stems, wie es bei der Ausfuhrungsform der Fig. 2 vorgese- 
hen ist, lediglich eine einmalige diskrete Vorgabe, z. B. 
"Fahre von A nach B*\ die dann vom Fahrzeugsteuerungssy- 
stem ausgefuhrt wird. 

[0020] Das aus den kontinuierlichen Vorgaben des Fahrers 
erzeugte Sollwertsignal wird einer prediktiven Ebene P zu- 
geflihrt, in der das Sollwertsignal unter Berucksichtigung ei- 
ner Voraussage von Fahrzustanden korrigiert wird. Eine 
Voraussage von Fahrzustanden erfolgt beispielsweise durch 
ein im Fahrzeug vorhandenes prediktives System zur Ver- 
meidung kritischer Fahrzustande. Ein solches System warnt 
beispielsweise bei zu hoher Geschwindigkeit fur eine bevor- 
stehende Kurve oder bremst das Fahrzeug gar ab. Der Kur- 
venradius kann beispielsweise mit Hilfe von GPS (Global 
Positioning System) und einer Strafienkarte festgestellt wer- 
den, weitere Diagnosesignale konnen von Sensoren zur Er- 
fassung des Strafienzustandes kommen. Die Funktionen der 
prediktiven Ebene P werden durch die Signalverarbeitungs- 
module 12 und 14 ausgefuhrt. Wie in der Fig. 1 zu erkennen 
ist, wird das Sollwertsignal von der Einrichtung 10 den Si- 
gnalverarbeitungsmodulen 12 bzw. 14 iiber getrennte Da- 



tenleitungen zugefuhrt. Die Signalverarbeitungsmodule 12 
und 14 sind dabei physikalisch getrennt. Die Signal verarbei- 
tung erfolgt dann redundant sowohl im Signalverarbeitungs- 
modul 12 als auch im Signalverarbeitungsmodul 14. Damit 
5 ist auch bei Ausfall eines der Module 12 oder 14 die Funk- 
tion der prediktiven Ebene P sichergestellt. 
[0021] Von den Signalverarbeitungsmodulen 12 bzw. 14 
der prediktiven Ebene P wird das dort eventuell korrigierte 
Sollwertsignal in eine reaktive Ebene R zu dortigen Signal- 
to verarbeitungsmodulen 16 und 18 iibertragen. In der reakti- 
ven Ebene R werden Systemfunktionen ausgefuhrt, die auf 
kritische Fahrzustande des Fahrzeugs reagieren. Solche Sy- 
stemfunktionen sind beispielsweise Fahrdynamikregelun- 
gen, die bei zu hoher Kurvengeschwindigkeit ein Ausbre- 
15 chen des Fahrzeugs verhindern. 

[0022] Von der reaktiven Ebene R wird das dort eventuell 
korrigierte Sollwertsignal dann einer Koordinationsebene K 
und dortigen Signalverarbeitungsmodulen 20 und 22 zuge- 
fuhrt. In den Signalverarbeitungsmodulen 20 und 22 erfolgt 

20 die Umsetzung der Sollwertsignale in Ansteuersignale. 
[0023] Diese Ansteuersignale werden von der Koordinati- 
onsebene K iiber einen fehlertoleranten, redundanten und bi- 
direktionalen Datenbus 24 zu Aktuatoren 26, 28 und 30 
iibertragen, die in einer Ausfuhrungsebene F liegen. Der 

25 Aktuator 26 ist dabei der Fahrzeugbremse, Aktuator 28 der 
Lenkung und Aktuator 30 Motor und Getriebe des Fahr- 
zeugs zugeordnet. In der Ausfuhrungsebene F werden die 
Ansteuersignale von der Koordinationsebene K durch die 
Aktuatoren 26, 28 und 30 ausgefuhrt. In der schematischen 

30 Darstellung der Fig. 1 ist zur Vereinfachung der Darstellung 
lediglich ein Aktuator 30 fur Motor und Getriebe vorgese- 
hen. Tatsachlich konnen fur Motor und Getriebe mehrere 
Aktuatoren vorgesehen sein, wobei nicht sicherheitskriti- 
sche Aktuatoren, beispielsweise fur einen Motor, nicht un- 

35 bedingt an einen redundanten Datenbus angeschlossen sein 
mussen, da fur nicht sicherheitskritische Aktuatoren der An- 
schlufi an einen einfachen Datenbus geniigt. 
[0024] Ebenfalls in der Ausfuhrungsebene F angeordnet 
ist ein reaktives Signalverarbeitungsmodul 32, das unmittel- 

40 bar dem fur die Fahrzeugbremse vorgesehenen Aktuator 26 
zugeordnet ist. Dieses Signalverarbeitungsmodul 32 ver- 
wirklicht die Funktion eines Antiblockiersystems und ist zur 
Erreichung kurzer Signal verarbeitungs- und Signallaufzei- 
ten in der Ausfuhrungsebene F angeordnet und unmittelbar 

45 dem Aktuator 26 zugeordnet. 

[0025] Ebenfalls in der Fig. 1 zu erkennen ist ein Bordnetz 
34, das zur Energieversorgung der einzelnen Ebenen El, P, 
R, K und F vorgesehen ist. Die Energieversorgung ist dabei 
redundant ausgefuhrt, so dass eine hohe Zuverlassigkeit er- 

50 reicht wird. In der Darstellung der Fig. 1 ist die Energiever- 
sorgung der einzelnen Signalverarbeitungsmodule 12 bis 20 
sowie der Aktuatoren 26 bis 30 jedoch nur durch Punkte an- 
gedeutet, die die Fortsetzung der Energiezufuhrungsieitun- 
gen darstellen sollen. 

55 [0026] Die Dateniibertragung zwischen den Signalverar- 
beitungsmodulen der prediktiven Ebene P, der reaktiven 
Ebene R und der Koordinationsebene K erfolgt in fehlerto- 
leranter, redundanter und bidirektionaler Weise. Wahrend 
Sollwertsignale in der Fig. 1 von oben nach unten, d. h. bei- 

60 spiels weise von der prediktiven Ebene P zu der reaktiven 
Ebene R und der Koordinationsebene K iibertragen werden, 
erfolgt die Ubertragung von Istwertsignalen und Diagnose- 
wertsignalen in umgekehrter Richtung. Istwertsignale und 
Diagnosewertsignale werden auch von den in der Ausfuh- 

65 rungsebene F angeordneten Aktuatoren 26, 28 und 30 iiber 
den Bus 24 zu den Signalverarbeitungsmodulen 20 und 22 
der Koordinationsebene K iibertragen. 
[0027] Somit finden alle Datenubertragungen zwischen 
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den Ebenen P, R, K und F in fehlertoleranter, redundanter 
und bidirektionaler Weise statt. Als Leiter fur die Daten- 
ubertragung konnen dabei sowohl elektrische als auch opti- 
sche Leiter, z. B. Glasfaser, verwendet werden. 
[0028] In der schematischen Darstellung der Fig. 2 ist ein 5 
weiteres erfindungsgemaBes Steuerungssystem fiir ein Fahr- 
zeug dargestellt, bei dem ein autonomes Fahrsystem 40 dis- 
krete Werte vorgibt, beispielsweise einen Befehl "Fahre von 
A nach B anhand von Zielkoordinaten". Das autonome 
Fahrsystem 40 liegt damit in einer Eingabeebene E2 des in to 
der Fig. 2 dargestellten Steuerungssystems. 
[0029] Die diskrete Vorgabe des Fahrsystems 40 wird in 
eine Automatisierungsebene A zu Signalverarbeitungsmo- 
dulen 42 und 44 ubertragen. Sowohl das Signalverarbei- 
tungsmodul 42 als auch das Modul 44 setzen die Vorgabe 15 
des autonomen Fahrsystems 40 in SoUwertsignale urn, wo- 
durch eine redundante Signalverarbeitung sichergestellt ist. 
[0030] Der weitere Aufbau des in der Fig. 2 dargestellten 
Steuerungssystems mit den Ebenen P, R, K und F entspricht 
dem in der Fig. 1 dargestellten und im Zusammenhang mit 20 
Fig. 1 beschriebenen Aufbau, so dass auf diesbezugliche er- 
neute Ausfuhrungen verzichtet wird. In der Fig. 2 darge- 
stellte Elemente, die mit entsprechenden in der Fig. 1 darge- 
stellten Elementen funktionsgleich sind, wurden mit den 
gleichen Bezugszeichen versehen. 25 
[0031] Die Reihenfolge der Signalverarbeitung bei der in 
Fig. 1 gezeigten Ausfuhrungsform in der Eingabeebene El, 
der prediktiven Ebene P, der reaktiven Ebene R, der Koordi- 
nationsebene K und der Ausfiihrungsebene F sowie bei der 
in Fig. 2 gezeigten Ausfuhrungsform in der Eingabeebene 30 
El, der Automatisierungsebene A und den Ebenen P, R, K 
und F liegt fest und es erfolgt eine zyklische Abarbeitung in 
einem festgelegten Takt. 

[0032] Moglich sind jedoch Ausfuhrungsformen des 
Steuerungssystems, bei denen die reaktive Ebene R erst un- 35 
terhaib der Koordinationsebene K angeordnet ist. Die Kor- 
rektur anhand von aktuellen Fahrzustanden erfolgt dann 
durch Verarbeitung der in der Koordinationsebene K er- 
zeugten Ansteuersignale. Ein solches Vorgehen kann im 
Hinblick auf eine schnelle Reaktion auf aktuelle Fahrzu- 40 
stande vorteilhaft sein, da unmittelbar die Ansteuersignale 
korrigiert werden und nicht erst die Signalverarbeitung der 
Koordinationsebene K abgewartet werden muB. 
[0033] Eine Verbesserung der Zuverlassigkeit der in den 
Fig. 1 und 2 dargestellten Steuerungssysteme wird durch 45 
redundante Ausfuhrung der Software in den Signal verarbei- 
tungsmodulen 12 bis 20 und 42 und 44 erreicht. Einerseits 
konnen die Ergebnisse der Signalverarbeitung damit uber- 
priift werden und andererseits ist die Funktion des Steue- 
rungssystems auch bei Teilausfall der Software noch ge- 50 
wahrleistet. 

Paten tan spruche 

1. Steuerungssystem fiir ein Fahrzeug mit mehreren 55 
Signalverarbeitungsebenen (El, E2, A, P, R, K, F) und 
Aktuatoren (26, 28, 30), insbesondere fur Bremse, Len- 
kung, Motor und Getriebe, zur Umsetzung von Ansteu- 
ersignalen, dadurch gekennzeichnet, dass als Signal- 
verarbeitungsebenen vorgesehen sind: 60 
eine Eingabeebene (El) mit Einrichtungen (10) zum 
Eingeben kontinuierlicher Vorgaben eines Fahrers und 
zum Umsetzen der Vorgaben in SoUwertsignale oder 
eine Eingabeebene (E2) mit Einrichtungen zum Einge- 
ben diskreter Vorgaben eines Fahrsystems (40) sowie 65 
eine Automatisierungsebene (A) mit ersten Signalver- 
arbeitungsmodulen (42, 44) zum Umsetzen der Vorga- 
ben der Eingabeebene (E2) in SoUwertsignale, 



eine prediktive Ebene (P) mit zweiten Signalverarbei- 
tungsmodulen (12, 14) zum Korrigieren der SoUwertsi- 
gnale anhand einer Voraussage von Fahrzustanden und/ 
oder eine reaktive Ebene (R) mit dritten Signal verar- 
beitungsmodulen (16, 18) zum Korrigieren der SoU- 
wertsignale anhand von aktuellen Fahrzustanden, 
eine Koordinationsebene (K) mit vierten Signalverar- 
beitungsmodulen (20, 22) zum Umsetzen der SoUwert- 
signale in Ansteuersignale und 

eine Ausfiihrungsebene (F) mit den Aktuatoren (26, 28, 
30) zum Ausfuhren der Ansteuersignale, 
wobei die Aktuatoren (26, 28, 30) mit den vierten Si- 
gnalverarbeitungsmodulen (20, 22) und untereinander 
durch einen fehlertoleranten, redundanten und bidirek- 
tionalen Datenbus (24) verbunden sind und die ersten 
(42, 44), zweiten (12, 14), dritten (16, 18) und/oder 
vierten (20, 22) Signal verarbeitungsmodule zur redun- 
danten Signalverarbeitung geeignet sind und zwischen 
zwei aufeinanderfolgenden Signalverarbeitungsebenen 
Einrichtungen zur fehlertoleranten, redundanten und 
bidirektionalen Datenubertragung vorgesehen sind. 

2. Steuerungssystem nach einem der vorstehenden 
Anspriiche, dadurch gekennzeichnet, dass die reaktive 
Ebene zwischen der Koordinationsebene und der Aus- 
fiihrungsebene angeordnet ist. 

3. Steuerungssystem nach einem der vorstehenden 
Anspriiche, dadurch gekennzeichnet, dass wenigstens 
einem Aktuator (26) ein reaktives Signalverarbeitungs- 
modul (32) zur Reaktion auf kritische, aktueUe Fahrzu- 
stande unmittelbar zugeordnet ist. 

4. Steuerungssystem nach einem der vorstehenden 
Anspriiche, dadurch gekennzeichnet, dass Einrichtun- 
gen (34) zur Energieversorgung fiir aUe Signalverar- 
beitungsebenen (El, E2, A, P, R, K, F) redundant aus- 
gefiihrt sind. 

5. Steuerungssystem nach einem der vorstehenden 
Anspriiche, dadurch gekennzeichnet, dass die Einrich- 
tungen zur bidirektionalen Datenubertragung als Licht- 
wellenleiter ausgefuhrt sind. 

6. Steuerungssystem nach einem der vorstehenden 
Anspriiche, dadurch gekennzeichnet, dass in der Auto- 
matisierungsebene (A), der prediktiven Ebene (P), der 
reaktiven Ebene (R) und der Koordinationsebene (K) 
jeweils wenigstens zwei physikalisch getrennte erste 
(42, 44), zweite (12, 14), dritte (16, 18) beziehungs- 
weise vierte (20, 22) Signalverarbeitungsrnodule zur 
redundanten Signalverarbeitung vorgesehen sind. 

7. Steuerungssystem nach einem der vorstehenden 
Anspriiche, dadurch gekennzeichnet, dass in den ersten 
(42, 44), zweiten (12, 14), dritten (16, 18) und/oder 
vierten (20, 22) Signalverarbeitungsmodulen vorgese- 
hene Software redundant ausgefuhrt ist. 

8. Verfahren zur Steuerung eines Fahrzeugs, insbeson- 
dere von dessen Bremse, Lenkung, Motor und Ge- 
triebe, gekennzeichnet durch folgende Schritte: 

- Eingeben kontinuierticher Vorgaben eines Fah- 
rers oder diskreter Vorgaben eines Fahrsystems 
(40) und Umsetzen der Vorgaben in SoUwertsi- 
gnale, 

- Korrigieren der SoUwertsignale anhand einer 
Voraussage von Fahrzustanden und/oder Korri- 
gieren der SoUwertsignale anhand von aktueUen 
Fahrzustanden, 

- Umsetzen der SoUwertsignale in Ansteuersi- 
gnale und 

- Ausfuhren der Ansteuersignale durch Aktuato- 
ren (26, 28, 30), 

- wobei die Ansteuersignale zu den Aktuatoren 
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(26, 28, 30) sowie Istwertsignale und Diagnosesi- 
gnale von den Aktuatoren (26, 28, 30) in fehlerto- 
leranter und redundanter Weise iiber einen Daten- 
bus (24) ubertragen werden, das Umsetzen der 
Vorgaben in Sollwertsignale, das Korrigieren der 5 
Sollwertsignale und das Umsetzen der Sollwertsi- 
gnale in Ansteuersignale in redundanter Weise er- 
foigt und Sollwertsignale, Istwertsignale sowie 
Diagnosesignale auf gemeinsamen Datenleitun- 
gen fehlertolerant, redundant und bidirektional 10 
ubertragen werden. 
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